#ring-size: 2048

• suricata.log : mensajes de inicio de Suricata
• stats.log : estadísticas sobre el tráfico de su red
• fast.log : actividad sospechosa descubierta por Suricata
• eve.json : tráfico de tu red local, así como actividad sospechosa en formato JSON

sudo logrotate -f /etc/logrotate.conf

Archivo de registro de tráfico de red

El tamaño del archivo de registro de tráfico de red "eve.json" puede aumentar dependiendo del tráfico de tu red.

Si solo le interesan las alertas del archivo fast.log , desactiva los registros del archivo eve.json en el archivo de configuración /etc/suricata/suricata.yaml . Pero ojo, no tendrás registros que te permitan analizar la causa de las alertas.

- eve-log:

   enabled: no

Gestionar las reglas de Suricata

La eficacia de IDS Suricata se basa en una buena gestión de las reglas. Es necesario tanto para evitar falsos positivos como para asegurar que las reglas utilizadas estén actualizadas y permitan la detección de amenazas recientes.

Las reglas de Suricata activadas por defecto generan muchos falsos positivos (alertas que no son problemas reales). Recomiendo dejar que Suricata se ejecute durante unas horas usando tu equipo normalmente y analizar cuidadosamente las alertas en el archivo fast.log y deshabilitar ciertas reglas. Por ejemplo, si utiliza Dropbox o Skype en tu red, deberá desactivar las reglas correspondientes para no generar alertas innecesarias para tu red.

Para aumentar la seguridad de tus instalaciones, es posible que también deba agregar nuevas fuentes de reglas o crear tus propias reglas.

Veremos cómo manejar esto en los siguientes capítulos.

Formato de reglas

•     Action (drop, alert, or pass)
•     Header (protocol, ip address(es), ports)
•     Options (additional qualification values to determine if the packet/flow/whatever match)

Cada regla de Suricata se compone de la siguiente manera:

 opciones de encabezado de   acción

• La acción corresponde a la acción realizada en caso de detección (alerta, caída, pase, etc.).
• El encabezado sirve para definir el protocolo (tcp, http, ftp, dns, tls…) así como la dirección IP y el puerto de origen y destino del tráfico involucrado en la alerta.
• Las opciones de la regla se muestran entre paréntesis y separadas por comas. Algunas opciones tienen parámetros, que se especifican mediante tu palabra clave seguida de dos puntos y el valor del parámetro.

Las reglas se identifican por tu identificador de firma, el parámetro sid .

Por ejemplo, aquí está la regla 2012647 para usar Dropbox:

# alert tls

[108.160.162.0/20,162.125.0.0/16,192.189.200.0/23,199.47.216.0/22,205.189.0.0/24,209.99.70.0/24,45.58.64.0/20] 443 -> $HOME_NET any (msg:"ET POLICY Dropbox.com Offsite File Backup in Use"; flow:established,from_server; content:"|55 04 03|"; content:"|0d|*.dropbox.com"; distance:1; within:14; threshold: type limit, count 1, seconds 300, track by_src; reference:url,www.dropbox.com; reference:url,dereknewton.com/2011/04/dropbox-authentication-static-host-ids/; classtype:policy-violation; sid:2012647; rev:5; metadata:created_at 2011_04_07, updated_at 2019_01_16;)

Puede ver las reglas editando el archivo de reglas Suricata:

sudo vi /var/lib/suricata/rules/suricata.rules

Deshabilitar ciertas reglas

Dependiendo de su uso, algunas reglas deben deshabilitarse. Por ejemplo, si permite el uso de Dropbox dentro de la red, la regla para el SID 2012647 debe estar deshabilitada.

Edite el archivo que contiene las reglas para desactivar:

sudo vi /etc/suricata/disable.conf

Agregue la lista de reglas para desactivar, identificadas por su identificador de firma (SID).

Aquí hay un ejemplo de reglas que desactivé en mi instalación:

# suricata-update - disable.conf

1:2012647 # Dropbox

1:2013504 # APT package management

1:2210044 # SURICATA STREAM Packet with invalid timestamp

1:2029706 # COVID

1:2029707 # COVID

1:2029709 # COVID

1:2027865 # DNS Query to .cloud

1:2210054 # SURICATA STREAM excessive retransmissions

1:2260000 # Applayer Mismatch protocol both directions

1:2210020 # STREAM ESTABLISHED packet out of window

1:2016150 # INFO Session Traversal Utilities for NAT

1:2027758 # DNS Query for .cc

1:2002157 # CHAT Skype User-Agent detected

Si es necesario, es posible desactivar todas las reglas que pertenecen al mismo tipo de clasificación de clases. Por ejemplo, la clasificación de decodificación de comandos de protocolo genérico genera demasiadas alertas para mi gusto y es posible deshabilitar todas las reglas en esta clasificación.

# suricata-update - disable.conf

# Disable all rules from protocol command decode class type

re:classtype:protocol-command-decode

Luego, debe actualizar las reglas (consulta Actualización de las reglas).

Agregar una nueva fuente de reglas

Es posible agregar nuevas reglas de una fuente en particular.

Primero actualice la lista de fuentes disponibles:

sudo suricata-update update-sources

Luego vea las fuentes disponibles:

sudo suricata-update list-sources

Para verificar qué fuentes ya están activadas, ejecute el siguiente comando:

sudo suricata-update list-enabled-sources

Active una nueva fuente, por ejemplo, la fuente de las reglas oisf / trafficid .

sudo suricata-update enable-source oisf/trafficid

Luego, debe actualizar las reglas (consulte Actualización de las reglas).

Actualizar las reglas

Para integrar la detección de las últimas amenazas, es necesario actualizar periódicamente las reglas de Suricata ejecutando el siguiente comando:

sudo suricata-update --disable-conf=/etc/suricata/disable.conf

Entonces todo lo que tiene que hacer es reiniciar el servicio Suricata:

sudo systemctl restart suricata.service

Puedes ver cómo exportar los datos recolectados por Suricata a Elasticsearch, y así, con Kibana o Grafana poder visualizar dicho tráfico.

Otros IDS a tener en cuenta:

• Snort : Se trata de un NIDS de código abierto, libre y gratuito, mantenido por la empresa Cisco Systems, capaz de operar tanto en dispositivos Windows como Linux y Unix y que dispone de tres modos de operación: “packet sniffer”, “packet logger” e “intrusion detection”. 

• Bro (Zeek) : Anteriormente conocida con el nombre de “Bro”, se trata de un NIDS de código abierto que ofrece dos modos de operación diferentes, como son el “traffic logging” y el “analysis”. Una de sus principales características es que se puede ejecutar en la capa de aplicación de la capa OSI, ofreciendo la capacidad de analizar servicios y protocolos como DNS, HTTP o SNMP, entre otros.

• Security Onion : Este NIDS de código abierto basado en Linux proporciona visibilidad sobre el tráfico de red, detección de intrusiones y administración de registros, además de ser capaz de alertar sobre actividades sospechosas. Combina varias de las funcionalidades de otras herramientas como Snort, Zeek, Suricata, Sguil o Squert, entre otras.

• OSSEC:  es de tipo HIDS, de código abierto y gratuito. Además, es multiplataforma, y sus registros incluyen también FTP, datos del servidor web y email.